„`html

CVE-2026-12968: Unrestricted File Upload in Product Addons Plugin

Zusammenfassung

Das WordPress-Plugin „Product Addons and Product Options With Custom Fields“ in Versionen vor 1.6.15 weist eine kritische Sicherheitslücke auf. Eine unauthentifizierte Datei-Upload-Schnittstelle ermöglicht es Angreifern, bösartige SVG-Dateien hochzuladen, die eingebettete Skripte enthalten. Diese werden bei der Anzeige im Browser ausgeführt und können Session-Tokens von Administratoren kompromittieren.

Betroffene Systeme

Betroffenes Plugin: Product Addons and Product Options With Custom Fields
Betroffene Versionen: Alle Versionen vor 1.6.15
Plattformen: WordPress-Installationen mit diesem Plugin
Status: Kein Patch verfügbar

Technische Details

Die Vulnerabilität basiert auf zwei kritischen Schwachstellen:

• Fehlende Authentifizierung: Der Upload-Endpoint validiert nicht, ob der Benutzer authentifiziert ist
• Unzureichende Datei-Validierung: SVG-Dateien werden ohne Überprüfung auf eingebettete Skripte akzeptiert und inline als Webressource bereitgestellt
• XSS-Ausführung: SVG-Format unterstützt JavaScript-Ausführung innerhalb des Kontexts der WordPress-Installation

CVSS-Score: 8.8 (High) | Angriffsvektor: Network | Authentifizierung: Nicht erforderlich

Empfohlene Massnahmen

1. Sofortige Deaktivierung: Plugin deaktivieren und löschen, bis ein Patch verfügbar ist
2. Datei-Überprüfung: Uploads-Verzeichnis auf verdächtige SVG-Dateien prüfen
3. Logs analysieren: Access-Logs auf unberechtigte Upload-Versuche prüfen
4. Session-Überprüfung: Admin-Session-Tokens invalidieren und neu authentifizieren
5. WAF-Regeln: Upload-Endpoints für SVG-Dateien blockieren
6. Alternative nutzen: Sicheres ersatz-Plugin evaluieren

Bewertung

Diese Lücke stellt ein hohes Risiko dar, da keine Authentifizierung erforderlich ist. Angreifer können gezielt Administrator-Sessions hijacken und Vollzugriff auf WordPress-Installationen erlangen. Die fehlende Verfügbarkeit eines Patches erfordert sofortige manuelle Gegenmaßnahmen.

„`